È facile prendere scorciatoie quando si protegge un server, ma si rischia la perdita di dati nel caso in cui un utente malintenzionato ottenga l'accesso root a uno dei server. Anche per installazioni semplici, devi prima proteggere il tuo server. La protezione dei server è un argomento ampio e varia a seconda del sistema operativo e delle applicazioni in esecuzione su di essi.
Questo tutorial si concentra sulla protezione di Apache in CentOS 6. Esistono alcuni passaggi successivi all'installazione che è possibile eseguire per proteggersi dall'escalation dei privilegi e da attacchi con privilegi insufficienti.
Senza ulteriori indugi, iniziamo.
Naturalmente, se non hai installato Apache o PHP, dovresti farlo ora. Esegui questo comando come utente root o usa sudo:
yum install httpd php
Ora che Apache è installato, andiamo avanti e iniziamo a proteggerlo. Innanzitutto, vogliamo assicurarci che le directory degli altri utenti non siano visibili da nessuno tranne che dal proprietario. Trasmetteremo tutte le home directory a 700, in modo che solo i rispettivi proprietari delle home directory possano visualizzare i propri file. Esegui questo comando come root o usa sudo:
chmod 700 /home
chmod 700 /home/*
chmod 700 /home/*/*
Usando i caratteri jolly, stiamo coprendo tutti i file attualmente residenti nella home directory.
Prima di applicare patch ad Apache, è necessario installare il repository che contiene il pacchetto con la patch. Esegui i seguenti comandi come root (o sudo).
yum install epel-release
yum install httpd-itk
Con "apache2-mpm-itk", possiamo dire quale utente PHP dovrebbe eseguire come basato sull'host virtuale. Aggiunge una nuova opzione di configurazione AssignUserId virtualhost-user virtualhost-user-group, che ci consente di dire ad Apache / PHP di eseguire il codice utente con un account utente specifico.
Se condividi questo server, suppongo che tu abbia già creato un host virtuale per Apache prima. In tal caso, puoi andare al passaggio 4.
È possibile seguire il modello seguente per creare un host virtuale in Apache.
NameVirtualHost mytest.website
<VirtualHost mytest.website>
DocumentRoot /home/vhost-user/public_html
ServerName mytest.website
</VirtualHost>
Apri il tuo editor di testo preferito /etc/httpd/conf.d/example-virtualhost.confe quindi aggiungi il contenuto sopra. Ecco il comando per l'utilizzo di nano:
nano /etc/httpd/conf.d/example-virtualhost.conf
Lasciami spiegare la configurazione qui. Quando specifichiamo "NameVirtualHost", in realtà diciamo al server Web che stiamo ospitando più domini su un solo IP . Ora, in questo esempio, ho usato mytest.websitecome dominio di esempio. Cambialo nel tuo o in un dominio di tua scelta. DocumentRootè ciò che dice ad Apache dove si trova il contenuto. ServerNameè una direttiva che usiamo per dire ad Apache il dominio del sito web. E un ultimo tag, </VirtualHost>che dice ad Apache che è la fine della configurazione dell'host virtuale.
Come accennato in precedenza, parte della protezione del server include l'esecuzione di Apache / PHP come utente separato per ciascun host virtuale. Dire ad Apache di farlo è semplice dopo aver applicato la patch: tutto ciò che devi fare è aggiungere:
AssignUserId vhost-user vhost-user-group
... alla tua configurazione. Ecco come sarebbe l'host virtuale di esempio dopo aver aggiunto questa opzione:
NameVirtualHost mytest.website
<VirtualHost mytest.website>
DocumentRoot /home/vhost-user/public_html
ServerName mytest.website
AssignUserId vhost-user vhost-user-group
</VirtualHost>
La magia è in linea a partire da AssignUserId. Con questa opzione, stiamo dicendo ad Apache / PHP di essere eseguito come il seguente utente / gruppo.
Questo passaggio è abbastanza semplice; basta aprire il file di configurazione di Apache eseguendo il seguente comando come utente root:
nano /etc/httpd/conf/httpd.conf
Trova "ServerTokens" e cambia l'opzione dopo in "ProductOnly". Questo dice ad Apache di rivelare solo che è "Apache", anziché "Apache / 2.2" o qualcosa di simile.
Ora che abbiamo protetto il server, dobbiamo riavviare il server Apache. Fallo eseguendo il comando seguente come root o con sudo:
service httpd restart
Questi sono solo alcuni passaggi che puoi adottare per proteggere il tuo server. Ancora una volta, anche se è qualcuno di cui ti fidi che ospita un sito Web sul tuo server, dovresti pianificare di proteggerlo. Negli scenari precedenti, anche se un account utente è compromesso, l'utente malintenzionato non avrà accesso all'intero server.
Usi un sistema diverso? Introduzione CyberPanel è uno dei primi pannelli di controllo sul mercato che è sia open source che utilizza OpenLiteSpeed. Che cosa
Introduzione Sensu è una soluzione di monitoraggio gratuita e open source che può essere utilizzata per monitorare server, applicazioni e vari servizi di sistema. Sensu i
Usi un sistema diverso? Apache OpenMeetings è unapplicazione per conferenze Web open source. È scritto in Java e supporta più server di database. io
Luso di un utente sudo per accedere a un server ed eseguire comandi a livello di root è una pratica molto comune tra Linux e Unix Systems Administrator. Luso di un sud
Usando un sistema diverso? RabbitMQ è un broker di messaggi open source ampiamente utilizzato scritto nel linguaggio di programmazione Erlang. Come middleware orientato ai messaggi
Usi un sistema diverso? RTMP è ottimo per pubblicare contenuti live. Quando RTMP è associato a FFmpeg, i flussi possono essere convertiti in varie qualità. Vultr i
TaskBoard è unapp Web di gestione del tempo gratuita e open source. Ispirato da Kanban, TaskBoard può aiutarti a tenere traccia delle cose che devono essere fatte in a
Usi un sistema diverso? Gradle è un set di strumenti di automazione di build gratuito e open source basato sui concetti di Apache Ant e Apache Maven. Gradle fornisce
Usi un sistema diverso? In questa guida, vedremo come configurare un server FTP (ProFTPd) per trasferire file tra il tuo PC e il tuo server.
Usando un sistema diverso? Netdata è una stella nascente nel campo del monitoraggio delle metriche di sistema in tempo reale. Rispetto ad altri strumenti dello stesso tipo, Netdata:
Usi un sistema diverso? Apache Cassandra è un sistema di gestione di database NoSQL gratuito e open source progettato per fornire scalabilità, alta
In questo tutorial imparerai bene come configurare un server multiplayer Just Cause 2. Prerequisiti Assicurarsi che il sistema sia completamente aggiornato prima di iniziare
Usando un sistema diverso? In questo tutorial, spiegherò come impostare un server Starbound su CentOS 7. Prerequisiti Devi possedere questo gioco su di te
ZNC è un buttafuori IRC gratuito e open source che rimane permanentemente connesso a una rete in modo che i client possano ricevere messaggi inviati mentre sono offline. Thi
Django è un popolare framework Python per la scrittura di applicazioni Web. Con Django, puoi creare applicazioni più velocemente, senza reinventare la ruota. Se vuoi
Dopo aver modificato la porta SSH, configurato il port knocking e apportato altre modifiche per la sicurezza SSH, cè forse un altro modo per proteggerti
Introduzione MyCLI è un client da riga di comando per MySQL e MariaDB che ti consente di completare automaticamente e ti aiuta con la sintassi dei tuoi comandi SQL. MyCL
Usi un sistema diverso? Directus 6.4 CMS è un sistema di gestione dei contenuti senza testa (CMS) potente e flessibile, gratuito e open source che fornisce agli sviluppatori
Cosa ti serve Un VPS Vultr con almeno 1 GB di RAM. Accesso SSH (con privilegi di root / amministrativi). Passaggio 1: installare prima BungeeCord
MaraDNS è un programma server DNS open source leggero ma robusto. Rispetto ad altre applicazioni dello stesso tipo, come ISC BIND, PowerDNS e djbdns
Gli attacchi ransomware sono in aumento, ma l'intelligenza artificiale può aiutare ad affrontare l'ultimo virus informatico? L'intelligenza artificiale è la risposta? Leggi qui sai è AI boone o bane
ReactOS, un sistema operativo open source e gratuito è qui con l'ultima versione. Può essere sufficiente alle esigenze degli utenti Windows moderni e abbattere Microsoft? Scopriamo di più su questo vecchio stile, ma un'esperienza del sistema operativo più recente.
Whatsapp ha finalmente lanciato l'app desktop per utenti Mac e Windows. Ora puoi accedere facilmente a Whatsapp da Windows o Mac. Disponibile per Windows 8+ e Mac OS 10.9+
Leggi questo per sapere come l'intelligenza artificiale sta diventando popolare tra le aziende di piccole dimensioni e come sta aumentando le probabilità di farle crescere e dare un vantaggio ai loro concorrenti.
Recentemente Apple ha rilasciato macOS Catalina 10.15.4 un aggiornamento supplementare per risolvere i problemi, ma sembra che l'aggiornamento stia causando più problemi che portano al bricking delle macchine mac. Leggi questo articolo per saperne di più
13 strumenti commerciali per l'estrazione dei dati dai Big Data
Il nostro computer memorizza tutti i dati in un modo organizzato noto come file system di journaling. È un metodo efficiente che consente al computer di cercare e visualizzare i file non appena si preme search.https://wethegeek.com/?p=94116&preview=true
Man mano che la scienza si evolve a un ritmo rapido, assumendo gran parte dei nostri sforzi, aumentano anche i rischi di sottoporci a una singolarità inspiegabile. Leggi, cosa potrebbe significare per noi la singolarità.
Uno sguardo a 26 tecniche di analisi dei Big Data: Parte 1
L'intelligenza artificiale nell'assistenza sanitaria ha compiuto grandi passi avanti negli ultimi decenni. Pertanto, il futuro dell'IA in sanità continua a crescere giorno dopo giorno.
